证明身份是现代日常生活中的常见环节。许多人在商店购买酒类时必须出示驾照，在工作场所向保安出示身份证、输入密码和口令以收取电子邮件及其他私人信息，并在致电银行或信用卡公司寻求客户服务时回答安全验证问题。
身份验证对人们来说也变得越来越容易：以 iPhone 为例。早期版本需要输入多位数密码才能解锁。后来，苹果推出了Touch ID，通过指纹读取器解锁手机。刚刚推出的最新版本是iPhone X，它可以使用摄像头进行面部识别，以验证用户身份。
作为一名研究手持设备身份验证技术的软件安全研究人员，我深知技术会不断变化，但挑战始终如一：数字系统如何验证一个真实人类的身份？
身份验证的三大要素
证明身份有三种主要方式。一种方式涉及你知道的信息，例如密码或母亲的娘家姓。这种方法假设获授权用户掌握未经授权者不知道的信息。但事实并非总是如此：对于在1.455亿美国人遭遇Equifax安全漏洞事件影响的人来说，2017年9月披露的事件可能已使大量此前保密的信息落入犯罪分子手中。
第二种身份验证方式依靠你拥有的东西，例如家门钥匙或在工作场所刷卡使用的智能卡。这种方式假设只有人数有限的一群人——可能只有一人，也可能是一个小群体，例如家人或同事——获准进入某个实体空间或使用某项数字服务。
第三种方式是利用人体生物特征验证个人身份，也就是确认你是谁。此类生物识别方式有多种，例如指纹、面部识别、虹膜扫描和声纹。当然，这种策略假设身体特征对特定个人而言是独一无二的，而且至关重要的是，相关数字系统能够区分不同的人。
结合使用两种或更多方法可以提高安全性，这称为双因素或多因素身份验证。
数字身份验证的影响
日益依赖数字身份验证，实际上可能会降低安全性。摄像头、传感器和其他设备虽然能让人们更轻松地完成身份验证，但它们自身也存在弱点。
系统要验证个人身份，就必须将此人提供的信息——他们知道什么、拥有什么或是谁——与预先存储的授权用户数据库进行比对。正如Equifax安全漏洞事件所表明的，这些数据库本身也容易受到攻击。从中窃取的信息可能被用于其他场合，例如查明某人使用哪家银行，并在致电转账时回答安全问题。数据库本身也可能遭到篡改，信息被修改后，攻击者便可能伪装身份进入某个实体空间或系统。
生物识别技术还存在另一种潜在安全威胁：犯罪分子不必猜密码，也不必逼迫他人透露密码；只要受害者在场——哪怕被枪指着——就能提供指纹或面部特征，用来验证身份并解锁系统。
未来的复杂问题
随着身份验证日趋复杂，需要使用多种因素，并确保传感器与数据库之间的通信安全，用户会越来越不愿意经历重重繁琐步骤。因此，安全管理人员会设法简化流程，同时不削弱保护措施。这种做法常见于一些网站，它们鼓励用户使用 Facebook 或 Google 账户登录；这些网站依赖科技巨头先进的安全技术，而不是自行创建身份验证系统。
在一种未来设想中，身份验证可以在用户毫无察觉的情况下完成：你走进商店时，面部识别技术就能识别并验证你的身份。结账时，你只需扫描所购商品后离开，商店便会自动从你选定的信用卡扣款。这并非科幻：亚马逊已为一种系统申请专利，正是为了在其Amazon Go 无收银员便利店中实现这一做法。
这在一定程度上得益于越来越普遍的做法：计算机系统彼此验证身份——因此，商店系统可以识别你、连接信用卡公司，并自行授权你的购物。
这可能比钱包里的塑料卡磁条更方便，甚至更安全。但潜在风险意味着私人信息需要受到严格得多的保护，尤其是生物识别数据。真实身份终究离不开血肉之躯。
